Q&A dotyczące outsourcingu w firmach inwestycyjnych - Komisja Nadzoru Finansowego

Korzystanie przez firmy inwestycyjne z outsourcingu – informacje ogólne

Przedstawione Q&A mają na celu rozwianie najczęściej zgłaszanych wątpliwości w zakresie korzystania z outsourcingu przez firmy inwestycyjne i nie stanowią kompleksowego opracowania tej tematyki. 

Outsourcing w kontekście działalności firm inwestycyjnych uregulowano w przepisach rozporządzenia 2017/565 ¹ i u.o.i.f. ² Regulacje tam zawarte obowiązują wszystkie kategorie firm inwestycyjnych, w tym przede wszystkim domy maklerskie oraz banki prowadzące działalność maklerską. Ponadto, na podstawie art. 70 ust. 4 u.o.i.f. przepisy dotyczące outsourcingu firm inwestycyjnych obowiązują również banki, o których mowa w art. 70 ust. 2 u.o.i.f.

Zgodnie z art. 81a ust. 1 u.o.i.f. firma inwestycyjna może, na podstawie umowy zawartej w formie pisemnej, powierzyć przedsiębiorcy lub przedsiębiorcy zagranicznemu wykonywanie czynności, o których mowa w art. 2 pkt 3 rozporządzenia 2017/565 (outsourcing). Zgodnie z definicją określoną w art. 2 pkt 3 rozporządzenia 2017/565 „outsourcing” oznacza dowolnego rodzaju umowę między firmą inwestycyjną i dostawcą usług, na podstawie której dostawca wykonuje proces, usługę lub działalność, które w innym przypadku zostałyby wykonane przez samą firmę inwestycyjną.

Szczególne obowiązki spoczywają na firmie inwestycyjnej, w przypadku gdy powierzenie w ramach outsourcingu dotyczy podstawowych lub istotnych funkcji operacyjnych w rozumieniu art. 30 rozporządzenia 2017/565 (outsourcing regulowany). W przypadku tej kwalifikowanej postaci outsourcingu firma inwestycyjna jest obowiązana postępować i wdrożyć rozwiązania wynikające z art. 31 i art. 32 rozporządzenia 2017/565. 

Zgodnie z art. 30 ust. 1 rozporządzenia 2017/565 funkcje operacyjne uznaje się za funkcje o podstawowym lub istotnym znaczeniu, o ile błąd lub niepowodzenie w ich wykonaniu zagrażałyby w sposób istotny:

• ciągłości wypełniania przez firmę inwestycyjną warunków zezwolenia; lub 
• ciągłości spoczywających na niej innych zobowiązań wynikających z dyrektywy 2014/65/UE ³ lub też;
• zagrażałaby jej wynikom finansowym, niezawodności lub ciągłości wykonywanych przez nią usług inwestycyjnych i działalności inwestycyjnej.

Katalog funkcji operacyjnych o podstawowym lub istotnym znaczeniu jest otwarty. Jednocześnie art. 30 ust. 2 rozporządzenia 2017/565 wskazuje, że nie uznaje się za mające podstawowe lub istotne znaczenie:

• usługi doradztwa świadczone na rzecz firmy i inne usługi niebędące częścią działalności inwestycyjnej firmy, w tym świadczenie na rzecz firmy usług w zakresie doradztwa prawnego, szkolenie personelu, fakturowanie oraz ochrona obiektów i pracowników firmy;
• zakup znormalizowanych usług, w tym usług związanych z dostarczaniem informacji rynkowych i notowań.

Przepis art. 31 rozporządzenia 2017/565 przewiduje, że firmy inwestycyjne zlecające w drodze outsourcingu podstawowe lub istotne funkcje operacyjne zachowują pełną odpowiedzialność za wykonanie wszystkich spoczywających na nich zobowiązań wynikających z dyrektywy 2014/65/UE i powinny spełniać warunki określone w tym przepisie. Dodatkowe obowiązki spoczywają na firmie inwestycyjnej, w przypadku gdy zleca wykonywanie określonych funkcji usługodawcy zlokalizowanemu w państwie trzecim (art. 32 rozporządzenia 2017/565). 

Zgodnie z art. 81c ust. 1 u.o.i.f. firma inwestycyjna jest obowiązana uwzględniać ryzyko związane z powierzeniem wykonywania czynności w systemie zarządzania ryzykiem. Przed zawarciem umowy outsourcingu firma inwestycyjna powinna przygotować plan postępowania z ryzykiem (art. 81c ust. 5 u.o.i.f.).

Na firmie inwestycyjnej spoczywają również pewne obowiązki informacyjne względem KNF wynikające z art. 81d u.o.i.f. Firma inwestycyjna jest zobowiązana zawiadomić KNF o zawarciu umowy outsourcingu w terminie 14 dni od dnia jej zawarcia, w przypadku gdy powierzenie dotyczy podstawowych lub istotnych funkcji operacyjnych. Firma inwestycyjna jest obowiązana również zawiadomić KNF o istotnej zmianie, rozwiązaniu lub wygaśnięciu umowy w terminie 14 dni od dnia tego zdarzenia. Za istotną zmianę umowy uważa się w szczególności zmianę zakresu czynności powierzonych innemu przedsiębiorcy lub przedsiębiorcy zagranicznemu. Obowiązek ten jest realizowany za pośrednictwem systemu ESPI przy wykorzystaniu formularza POWIERZENIE.

Przepisy art. 81f u.o.i.f. dopuszczają tzw. „podoutsourcing”, czyli dalsze powierzenie przez usługodawcę wykonywania czynności powierzonych mu przez firmę inwestycyjną. Usługodawca (którym może być przedsiębiorca lub przedsiębiorca zagraniczny) może powierzyć innemu przedsiębiorcy lub przedsiębiorcy zagranicznemu wykonywanie czynności, które zostały mu zlecone przez firmę inwestycyjną, o ile firma inwestycyjna wyrazi na to pisemną zgodę. Pisemna zgoda firmy inwestycyjnej powinna określać zakres powierzanych czynności wraz ze wskazaniem oznaczonego usługodawcy. Podoutsourcing na gruncie przepisów u.o.i.f. może mieć charakter tylko jednostopniowy, ponieważ zgodnie z art. 81f ust. 3 u.o.i.f. dalsze powierzenie czynności powierzonych w ramach dalszego powierzenia nie jest dopuszczalne. Obecnie prowadzone są prace legislacyjne w celu odejścia od tej zasady ⁴.

W szczególnym otoczeniu regulacyjnym funkcjonują banki prowadzące działalność maklerską. Bank w przypadku outsourcingu czynności związanych z prowadzeniem działalności maklerskiej zobowiązany jest stosować przepisy określone w rozporządzeniu 2017/565 oraz u.o.i.f., natomiast w zakresie outsourcingu czynności obejmujących działalność bankową zobowiązany jest stosować odpowiednie przepisy Prawa bankowego ⁵. W sytuacji gdy outsourcing czynności banku dotyczy zarówno działalności maklerskiej, jak i działalności bankowej wówczas zlecenie przez bank wykonywania określonych czynności powinno pozostawać w zgodzie zarówno z przepisami o outsourcingu firm inwestycyjnych określonymi w rozporządzeniu 2017/565 oraz u.o.i.f., jak i przepisami Prawa bankowego. Dodatkowo, banki powinny również stosować Wytyczne EBA ⁶.

_____________________ 

¹ Rozporządzenie delegowane Komisji (UE) 2017/565 z dnia 25 kwietnia 2016 r. uzupełniające dyrektywę Parlamentu Europejskiego i Rady 2014/65/UE w odniesieniu do wymogów organizacyjnych i warunków prowadzenia działalności przez firmy inwestycyjne oraz pojęć zdefiniowanych na potrzeby tej dyrektywy (dalej „rozporządzenie 2017/565”).

² Ustawa z dnia 29 lipca 2005 r. o obrocie instrumentami finansowymi (dalej „u.o.i.f.”).

³ Dyrektywa Parlamentu Europejskiego i Rady 2014/65/UE z dnia 15 maja 2014 r. w sprawie rynków instrumentów finansowych oraz zmieniająca dyrektywę 2002/92/WE i dyrektywę 2011/61/UE (dalej „dyrektywa 2014/65/UE”).

⁴ W ramach prac legislacyjnych nad projektem ustawy o zmianie niektórych ustaw w związku z zapewnieniem rozwoju rynku finansowego oraz ochrony inwestorów na tym rynku (numer z wykazu prac legislacyjnych UD235) w wersji z dnia 24.10.2022 r. zaproponowano uchylenie art. 81f ust. 3 u.o.i.f. Jednocześnie zaproponowano przyjęcie przepisu art. 81f ust. 3a u.o.i.f., który ma przewidywać, że przedsiębiorca lub przedsiębiorca zagraniczny, któremu powierzono wykonywanie określonych czynności zgodnie z art. 81f ust. 1 u.o.i.f., może, po uzyskaniu pisemnej zgody firmy inwestycyjnej, powierzyć innemu przedsiębiorcy lub przedsiębiorcy zagranicznemu wykonywanie tych czynności.

⁵ Ustawa z dnia 29 sierpnia 1997 r. - Prawo bankowe (dalej „Prawo bankowe”).

⁶ Wytyczne w sprawie outsourcingu z dnia 25 lutego 2019 r. wydane przez Europejski Urząd Nadzoru Bankowego (EBA/GL/2019/02) (dalej „Wytyczne EBA”).

Zgodnie z art. 83a ust. 3h pkt 1 u.o.i.f. firma inwestycyjna ma obowiązek nagrywać rozmowy telefoniczne prowadzone z klientami w związku ze świadczonymi usługami maklerskimi, o których mowa w art. 69 ust. 2 pkt 1–5 u.o.i.f.: istnieje zatem bezpośredni obowiązek nagrywania nałożony na firmy inwestycyjne przez ustawę.

Zgodnie z art. 83a ust. 4 u.o.i.f. firma inwestycyjna ma obowiązek rejestrować, przechowywać i archiwizować dokumenty, nagrania rozmów telefonicznych, korespondencję elektroniczną oraz inne informacje sporządzane, przekazywane lub otrzymywane w związku ze świadczonymi usługami maklerskimi: istnieje tym samym bezpośredni obowiązek przechowywania nagranych rozmów telefonicznych nałożony na firmy inwestycyjne przez ustawę.

Powyższe przepisy stanowią transpozycję art. 16 ust. 6 i 7 dyrektywy 2014/65. Zgodnie natomiast z art. 30 rozporządzenia 2017/565 za funkcje operacyjne uznaje się funkcje o podstawowym lub istotnym znaczeniu (outsourcing regulowany), o ile błąd lub niepowodzenie w ich wykonaniu zagrażałyby w sposób istotny ciągłości wypełniania przez firmę inwestycyjną warunków zezwolenia lub spoczywających na niej innych zobowiązań wynikających z dyrektywy 2014/65/UE lub też zagrażałyby jej wynikom finansowym, niezawodności lub ciągłości wykonywanych przez nią usług inwestycyjnych i działalności inwestycyjnej.

Obowiązek określony w art. 83a ust. 4 u.o.i.f. jest jednym z kluczowych wymogów pozwalających na ochronę interesów klientów poprzez możliwość utrwalenia rozmowy z przedstawicielami firmy inwestycyjnej. Umożliwia on weryfikację przebiegu rozmowy oraz potencjalnych nieprawidłowości, które mogły podczas niej zaistnieć. Stanowi on również istotne narzędzie do kontroli przez firmę inwestycyjną prawidłowości wypełniania przez nią wymogów świadczenia usług maklerskich. Z tego powodu brak wypełnienia przez firmę inwestycyjną obowiązku, o którym mowa w art. 83a ust. 4 u.o.i.f. lub jego nieprawidłowa realizacja zagrażałyby w sposób istotny ciągłości wypełniania przez firmę inwestycyjną warunków zezwolenia i spoczywających na niej innych zobowiązań wynikających z dyrektywy 2014/65/UE (art. 16 ust. 6 i 7 dyrektywy 2014/65). 

Powierzenie przez firmę inwestycyjną wykonywania obowiązków nagrywania i przechowywania nagranych rozmów telefonicznych firmie telekomunikacyjnej stanowi outsourcing regulowany i umowa w tym zakresie powinna spełniać wymogi przewidziane prawem dla tej formy outsourcingu.

Zakładając, że: 

• dane objęte obowiązkiem przechowywania i archiwizacji są pobierane przez firmę inwestycyjną w cyklach 24-godzinnych, a następnie przechowywane i archiwizowane na jej serwerach

można uznać, że opisana usługa nie stanowi powierzenia podmiotowi trzeciemu obowiązku przechowywania i archiwizacji, o którym mowa w art. 83a ust. 4 u.o.i.f., a tym samym nie stanowi outsourcingu w rozumieniu u.o.i.f. oraz rozporządzenia 2017/565.  

Zgodnie z art. 2 pkt 3 Rozporządzenia 2017/565 „outsourcing” oznacza dowolnego rodzaju umowę między firmą inwestycyjną i dostawcą usług, na podstawie której dostawca wykonuje proces, usługę lub działalność, które w innym przypadku zostałyby wykonane przez samą firmę inwestycyjną. Serwisowanie systemu informatycznego, które wspiera wykonywanie funkcji wewnętrznych podmiotu i które w innym przypadku nie zostałoby wykonane przez samą firmę inwestycyjną, nie powinno być traktowane jako outsourcing lub outsourcing regulowany. W odniesieniu do obszaru technologii informacyjnej i bezpieczeństwa środowiska teleinformatycznego w bankach obligatoryjne zastosowanie mają Rekomendacja D KNF dotycząca zarządzania obszarami technologii informacyjnej i bezpieczeństwa środowiska teleinformatycznego w bankach i Rekomendacja M KNF dotycząca zarządzania ryzykiem operacyjnym w bankach. 

Tak, biura maklerskie powinny stosować „Wytyczne w sprawie outsourcingu” wydane przez EBA (Europejski Urząd Nadzoru Bankowego).

Art. 81a ust. 2 u.o.i.f. przewiduje stosowanie reżimu przewidzianego w art. 31 i 32 Rozporządzenia 2017/565 w przypadku powierzenia podmiotowi trzeciemu wykonywania funkcji operacyjnych o podstawowym lub istotnym znaczeniu w rozumieniu art. 30 tego rozporządzenia. Zgodnie natomiast z art. 30 Rozporządzenia 2017/565 za funkcje operacyjne uznaje się funkcje o podstawowym lub istotnym znaczeniu, o ile błąd lub niepowodzenie w ich wykonaniu zagrażałyby w sposób istotny ciągłości wypełniania przez firmę inwestycyjną warunków zezwolenia lub spoczywających na niej innych zobowiązań wynikających z dyrektywy 2014/65/UE lub też zagrażałaby jej wynikom finansowym, niezawodności lub ciągłości wykonywanych przez nią usług inwestycyjnych i działalności inwestycyjnej. Zgodnie z art. 24 Rozporządzenia 2017/565 obowiązki funkcji audytu wewnętrznego polegają na:

• ustanowieniu, wdrożeniu i utrzymywaniu planu audytu służącego badaniu i ocenianiu adekwatności i skuteczności systemów, mechanizmów kontroli wewnętrznej i uzgodnień stosowanych przez firmę inwestycyjną;

• wydawaniu rekomendacji na podstawie wyników prac przeprowadzonych zgodnie z punktem pierwszym oraz weryfikowaniu przestrzegania tych rekomendacji;

• składaniu sprawozdań z audytów wewnętrznych. 

Funkcja audytu wewnętrznego nie jest elementem funkcji operacyjnych, gdyż polega na zapewnieniu skuteczności mechanizmów kontroli wewnętrznej. Działa ona niezależnie i oddzielnie od innych funkcji i obszarów działalności firmy inwestycyjnej (art. 24 Rozporządzenia 2017/565). Nie jest więc funkcją operacyjną (wykonawczą), lecz funkcją „zewnętrzną” względem toku działalności firmy inwestycyjnej.

Błąd lub niepowodzenie w wykonywaniu zadań przypisanych do funkcji audytu wewnętrznego nie zagrażałyby w sposób istotny ciągłości wypełniania przez firmę inwestycyjną warunków zezwolenia lub spoczywających na niej innych zobowiązań wynikających z dyrektywy 2014/65/UE ani też nie zagrażałyby jej wynikom finansowym, niezawodności lub ciągłości wykonywanych przez nią usług inwestycyjnych i działalności inwestycyjnej. 

Wobec powyższego można uznać, że jest to funkcja odmienna od funkcji operacyjnych, których dotyczy art. 30 Rozporządzenia 2017/565. 

Zgodnie z art. 111 ust. 5 u.o.i.f. uzyskanie zezwolenia na prowadzenie działalności maklerskiej przez bank wymaga wyodrębnienia tej działalności od pozostałej działalności banku, tj. wyodrębnienia organizacyjnego.

Zgodnie z § 2 pkt 4 Rozporządzenia¹ przez biuro maklerskie należy rozumieć „oddział lub inną jednostkę banku prowadzącego działalność maklerską działającą na zasadach oddziału, wyodrębnioną organizacyjnie, w ramach której bank prowadzi tę działalność”.

Wyodrębnienie to powinno być rozumiane jako autonomia gwarantująca możliwość samodzielnego świadczenia usług wraz z odpowiednim zapleczem organizacyjnym oraz czuwaniem nad prawidłowością świadczenia tych usług.

Wydzielenie organizacyjne, zapewniające wskazaną powyżej autonomię biura maklerskiego, jest ściśle związane z osobami wykonującymi czynności w ramach tego biura. Zgodnie bowiem z § 2 ust. 2 Rozporządzenia o wydzieleniu² „czynności związane z prowadzeniem działalności maklerskiej wykonują pracownicy zatrudnieni w biurze maklerskim lub osoby pozostające z biurem maklerskim w stosunku zlecenia lub innym stosunku prawnym o podobnym charakterze”. Biuro maklerskie powinno mieć zatem oddzielną od banku kadrę pracowniczą. Oznacza to w szczególności, że czynności compliance w biurze maklerskim mogą być wykonywane jedynie przez pracowników związanych z biurem maklerskim umowami, o których mowa w cytowanym powyżej przepisie. 

Dodatkowo § 24 ust. 6 Rozporządzenia określa zasady podległości służbowej inspektora nadzoru w biurze maklerskim: „W przypadku banku prowadzącego działalność maklerską w formie biura maklerskiego inspektor nadzoru podlega bezpośrednio osobie kierującej biurem maklerskim”.

Z powyższego jasno wynika, że w ramach autonomii biura maklerskiego w jego strukturze organizacyjnej powinna funkcjonować komórka/funkcja compliance przeznaczona stricte do czuwania nad prawidłowością świadczenia usług w ramach biura maklerskiego. Wskazywane powyżej przepisy Rozporządzenia i Rozporządzenia o wyodrębnieniu dookreślają tę niezależność poprzez zasady zatrudniania pracowników w ramach biura maklerskiego oraz poprzez określenie podległości służbowej inspektora nadzoru. 

Rekomendacja H dotycząca systemu kontroli wewnętrznej w bankach („Rekomendacja H”), w ocenie KNF, nie pozostaje w sprzeczności z koniecznością wyodrębnienia niezależnej komórki/funkcji compliance w biurze maklerskim banku. 

Rekomendacja H już w słowniczku wskazuje, że jednostką organizacyjną banku jest w szczególności biuro maklerskie (pkt 10 słowniczka), zaś komórka została zdefiniowana jako jedno lub wieloosobowy element struktury organizacyjnej wydzielony w ramach jednostki organizacyjnej dla realizacji określonych zadań (pkt 14 słowniczka). 

Proces zarządzania ryzykiem braku zgodności w banku jest realizowany przez komórkę do spraw zgodności. Na ten proces składa się nie tylko praca tej jednej komórki banku (komórka compliance banku), ale także czynności wykonywane przez inne jednostki czy komórki (patrz definicja procesu pkt 23 słowniczka). Komórka compliance banku zarządza ryzykiem braku zgodności w całym banku, w tym w biurze maklerskim, co nie oznacza jednak, że samodzielnie wykonuje wszystkie funkcje z tego obszaru.

Funkcjonująca w ramach biura maklerskiego komórka compliance powinna być elementem procesu zarządzania ryzykiem braku zgodności w banku. Innymi słowy, komórka compliance banku powinna brać pod uwagę, w procesie zarządzania ryzykiem zgodności banku, prace komórki compliance w ramach biura maklerskiego. 

Pozostaje to w zgodzie z Rekomendacją 12 (pkt 12.6 b), zgodnie z którą Zarząd banku powinien zapewnić kierującemu komórką do spraw zgodności oraz pracownikom tej komórki odpowiedni zakres uprawnień obejmujący w szczególności prawo do żądania informacji i danych oraz otrzymywania niezwłocznych odpowiedzi od pracowników i komórek organizacyjnych posiadających te informacje i dane. 

Rekomendacja H nie stoi w żaden sposób na przeszkodzie stosowaniu przez biuro maklerskie banku przepisów Rozporządzenia i Rozporządzenia o wyodrębnieniu, tj. nie neguje ona konieczności istnienia w ramach struktury biura maklerskiego komórki zgodności z prawem, a wręcz, jak wykazano powyżej, wpływa pozytywnie na jakość procesu zarządzania ryzykiem braku zgodności w ramach banku.

Nie jest zatem możliwe scalenie jednostki compliance banku i jednostki compliance biura maklerskiego. Ponadto, outsourcing zakłada zaangażowanie podmiotu trzeciego. W przypadku przekazywania kompetencji pomiędzy jednostkami banku nie ma rozdzielności podmiotowej, a tym samym nie można mówić o outsourcingu czynności w ramach tego samego podmiotu. 

Inaczej sytuacja wygląda w przypadku banku powierniczego: zgodnie z § 30 ust. 3 Rozporządzenia inspektorem nadzoru w banku powierniczym może być osoba kierująca komórką nadzoru wewnętrznego banku.

_____________________ 

¹ Rozporządzenie Ministra Finansów z dnia 29 maja 2018 r. w sprawie szczegółowych warunków technicznych i organizacyjnych dla firm inwestycyjnych, banków, o których mowa w art. 70 ust. 2 ustawy o obrocie instrumentami finansowymi, i banków powierniczych (dalej „Rozporządzenie”).

² Rozporządzenie Ministra Finansów z dnia 12 kwietnia 2006 r. w sprawie szczegółowych zasad organizacyjnego wydzielenia działalności maklerskiej banku (dalej „Rozporządzenie o wydzieleniu”).

Zgodnie z art. 81a ust. 1 u.o.i.f. firma inwestycyjna (w tym bank prowadzący działalność maklerską) może, na podstawie umowy zawartej w formie pisemnej, powierzyć przedsiębiorcy lub przedsiębiorcy zagranicznemu wykonywanie czynności, o których mowa w art. 2 pkt 3 rozporządzenia 2017/565 (outsourcing). Outsourcing oznacza dowolnego rodzaju umowę między firmą inwestycyjną i dostawcą usług, na podstawie której dostawca wykonuje proces, usługę lub działalność, które w innym przypadku zostałyby wykonane przez samą firmę inwestycyjną (art. 2 pkt 3 rozporządzenia 2017/565). 

Zgodnie z pkt 12 Wytycznych EBA „outsourcing” oznacza umowę w dowolnej formie zawartą między instytucją, instytucją płatniczą lub instytucją pieniądza elektronicznego a usługodawcą, na mocy której usługodawca realizuje proces, usługę lub zadanie, które w przeciwnym razie byłoby realizowane przez samą instytucję, instytucję płatniczą lub instytucję pieniądza elektronicznego. 

Na poziomie definicyjnym można zatem uznać, że pojęcie outsourcingu w rozporządzeniu 2017/565 i u.o.i.f. oraz Wytycznych EBA ma tożsamy zakres pojęciowy. Oznacza to, że w przypadku stwierdzenia, że powierzenie usługodawcy wykonywania określonych czynności (w zakresie czynności stanowiących działalność maklerską) przez bank prowadzący działalność maklerską stanowi outsourcing w rozumieniu rozporządzenia 2017/565, będzie to również outsourcing w rozumieniu Wytycznych EBA¹.

Bank prowadzący działalność maklerską powinien stosować w tym zakresie u.o.i.f. i rozporządzenie 2017/565 oraz Wytyczne EBA. 

W odniesieniu do outsourcingu w rozumieniu u.o.i.f i rozporządzenia 2017/565 szczególne obowiązki spoczywają na banku, w przypadku gdy powierzenie dotyczy podstawowych lub istotnych funkcji operacyjnych w rozumieniu art. 30 rozporządzenia 2017/565. W szczególności, zgodnie z art. 81a ust. 2 u.o.i.f., na banku prowadzącym działalność maklerską spoczywają wówczas obowiązki wynikające z przepisów art. 31 i art. 32 rozporządzenia 2017/565.

Zgodnie z art. 30 rozporządzenia 2017/565 funkcje operacyjne uznaje się za funkcje o podstawowym lub istotnym znaczeniu (ang. critical and important operational functions), o ile błąd lub niepowodzenie w ich wykonaniu zagrażałyby w sposób istotny ciągłości wypełniania przez firmę inwestycyjną warunków zezwolenia lub spoczywających na niej innych zobowiązań wynikających z dyrektywy 2014/65/UE lub też zagrażałaby jej wynikom finansowym, niezawodności lub ciągłości wykonywanych przez nią usług inwestycyjnych i działalności inwestycyjnej.

Bank prowadzący działalność maklerską w kontekście outsourcingu powinien stosować nie tylko przepisy u.o.i.f. oraz rozporządzenia 2017/565, ale również Wytyczne EBA. W pkt 29 Wytycznych EBA wskazano, że instytucje i instytucje płatnicze uznają funkcję za krytyczną lub istotną (ang. consider a function as critical or important):

a) o ile błąd lub niepowodzenie w ich wykonaniu zagrażałyby w sposób istotny: 

• ciągłości wypełniania warunków zezwolenia lub innych zobowiązań wynikających z dyrektywy 2014/65/UE, rozporządzenia (UE) nr 575/2013, dyrektywy (UE) 2015/2366 i dyrektywy 2009/110/WE oraz obowiązków regulacyjnych; 

• wynikom finansowym; lub 

• niezawodności lub ciągłości wykonywanych usług bankowych i płatniczych oraz działalności w tym zakresie; 

b) w sytuacji gdy zleca się zadania operacyjne funkcji kontroli wewnętrznej na zasadzie outsourcingu, chyba że ocena wykaże, że niewykonanie funkcji będącej przedmiotem outsourcingu lub niewłaściwe jej wykonanie nie będzie miało niekorzystnego wpływu na skuteczność funkcji kontroli wewnętrznej;

c) w sytuacji gdy przedmiotem outsourcingu ma być działalność bankowa lub usługi płatnicze w zakresie wymagającym udzielenia zezwolenia przez właściwy organ, zgodnie z sekcją 12.1 Wytycznych EBA.

Definicja z Wytycznych EBA (w lit. a powyżej) dotycząca funkcji krytycznych lub istotnych stanowi odzwierciedlenie definicji funkcji o podstawowym lub istotnym znaczeniu w rozumieniu art. 30 rozporządzenia 2017/565. Wskazuje na to również wprost odesłanie w przypisie w pkt 29 Wytycznych EBA do przepisu art. 30 rozporządzenia 2017/565. 

W przypadku stwierdzenia przez bank prowadzący działalność maklerską, że powierzenie usługodawcy wykonywania określonych czynności stanowi outsourcing funkcji o podstawowym lub istotnym znaczeniu w rozumieniu u.o.i.f. i rozporządzenia 2017/565, spowoduje to również automatycznie uznanie takiego powierzenia za outsourcing funkcji krytycznych lub istotnych w rozumieniu Wytycznych EBA. Oznacza to, że bank prowadzący działalność maklerską będzie obowiązany do łącznego stosowania u.o.i.f. i rozporządzenia 2017/565 oraz Wytycznych EBA w tym zakresie.

_____________________ 

¹ Pośrednio wskazuje na to również brzmienie pkt 9 Wytycznych EBA, zgodnie z którym bez uszczerbku dla dyrektywy 2014/65/UE i rozporządzenia 2017/565 (które zawiera wymogi dotyczące outsourcingu przez instytucje wykonujące zawodowo usługi inwestycyjne oraz prowadzące działalność inwestycyjną, jak również odpowiednie wytyczne wydane przez Europejski Urząd Nadzoru Giełd i Papierów Wartościowych w odniesieniu do usług inwestycyjnych i działalności inwestycyjnej), instytucje, o których mowa w art. 3 ust. 1 pkt 3 dyrektywy 2013/36/UE , powinny spełniać Wytyczne EBA.

Zgodnie z art. 150 ust. 1 pkt 17 u.o.i.f dopuszczalne jest przekazywanie usługobiorcy przez firmę inwestycyjną informacji stanowiących tajemnicę zawodową w związku z zawarciem lub wykonywaniem umowy outsourcingu, o ile przekazanie tych informacji jest niezbędne dla zawarcia lub wykonania umowy. Dla kwalifikacji umowy outsourcingu jako powierzenie podstawowych lub istotnych funkcji operacyjnych w rozumieniu art. 30 Rozporządzenia 2017/565 nie ma znaczenia to, czy w ramach tego powierzenia dochodzi do przekazania usługobiorcy tajemnicy zawodowej. Dla dokonania takiej kwalifikacji kluczowe jest określenie charakteru i wpływu powierzonych czynności na działalność firmy inwestycyjnej.